GitHub gibt lokalen Copilot-Agenten eine Sandbox – sie ist aber noch kein Sicherheitsnetz

GitHub ergänzt die Copilot App um eine lokale Sandbox. Damit lassen sich agentisch ausgeführte Befehle pro Projekt bei Dateizugriff, Netzwerkverbindungen und Zugangsdaten begrenzen. Das klingt nach einer technischen Detailfunktion. Tatsächlich geht es um eine der wichtigsten Bedingungen dafür, Coding-Agenten auf echten Rechnern arbeiten zu lassen.

Was GitHub konkret absichert

Die Sandbox gilt für lokale Repository- und Working-Tree-Sitzungen in der GitHub Copilot App. Teams können zusätzliche Verzeichnisse schreibbar oder nur lesbar freigeben und andere Pfade sperren. Auch ausgehender Internetzugriff und Zugriffe auf das lokale Netzwerk lassen sich steuern. Für authentifizierte Git-Operationen und die GitHub CLI gibt es eigene Schalter.

Wichtig ist das Ausfallverhalten: Kann das Betriebssystem die verlangte Richtlinie nicht durchsetzen, soll die Shell mit einem Fehler abbrechen. Sie läuft laut GitHub also nicht stillschweigend ohne Sandbox weiter. Richtlinienänderungen greifen bei neuen oder neu gestarteten Sitzungen. Für eine aktive Sitzung lässt sich die Sandbox mit /sandbox on einschalten.

Der entscheidende Haken: standardmäßig aus

Die Funktion ist eine Public Preview und für neue lokale Sitzungen zunächst deaktiviert. Genau deshalb ist sie noch kein automatisches Sicherheitsnetz. Wer die Voreinstellung nicht ändert, lässt agentisch gestartete Befehle weiterhin mit den Rechten des eigenen Benutzerkontos arbeiten.

Auch eine aktivierte Sandbox braucht eine vernünftige Richtlinie. GitHubs Dokumentation nennt Internet- und lokales Netzwerk in Sandbox-Sitzungen standardmäßig als erreichbar; Git- und GitHub-CLI-Zugangsdaten sind ebenfalls zunächst verfügbar. Das ist bequem, aber für viele Aufgaben großzügiger als nötig. Eine Sandbox ist nicht allein deshalb eng, weil sie Sandbox heißt.

Hinzu kommt: Die Einstellung gilt weder für Cloud-Sandbox-Sitzungen noch für Sitzungen auf entfernten Hosts. Die Copilot App und Copilot CLI werden getrennt konfiguriert. Teams sollten daher nicht von einer globalen Copilot-Sicherheitsrichtlinie ausgehen.

Was Teams jetzt praktisch tun sollten

Für lokale Coding-Agenten ist ein brauchbarer Ausgangspunkt einfach:

1. Sandbox für neue Projektsitzungen aktivieren. 2. Schreibzugriff auf das jeweilige Arbeitsverzeichnis begrenzen. 3. Geheimnis- und Konfigurationsverzeichnisse ausdrücklich sperren. 4. Internet, lokales Netzwerk und Zugangsdaten nur freigeben, wenn die konkrete Aufgabe sie benötigt. 5. Ausnahmen außerhalb der Sandbox nicht routinemäßig bestätigen.

Das folgt dem Prinzip der kleinsten nötigen Rechte. Es reduziert nicht nur Schäden durch falsche Befehle, sondern begrenzt auch den Spielraum von manipulierten Abhängigkeiten oder Prompt-Injection in eingelesenen Inhalten. Es ersetzt trotzdem keine Reviews und keine Kontrolle der Agentenläufe. Der neue OpenTelemetry-Support in der Copilot App hilft dabei, Ausführung sichtbar zu machen; die Sandbox begrenzt, was ein Lauf überhaupt erreichen kann. Beides gehört zusammen.

Wie wichtig der Schutz von Zugangsdaten ist, zeigt auch der aktuelle Fall EvilTokens und KI-gestütztes Phishing: Ein gültiges Token kann für Angreifer wertvoller sein als ein Passwort. Lokale Agenten sollten solche Anmeldedaten daher nicht vorsorglich erhalten.

Ein guter Schritt, der aktive Konfiguration verlangt

GitHub verschiebt die lokale Agentensicherheit damit in die richtige Richtung: weg von pauschalem Vertrauen, hin zu expliziten Zugriffsregeln. Der praktische Wert hängt aber an den Defaults im Projekt. Solange die Sandbox ausgeschaltet und wichtige Zugriffe innerhalb der Sandbox zunächst erlaubt sind, bleibt die sichere Konfiguration Aufgabe des Nutzers oder der Organisation.

Die richtige Konsequenz ist deshalb nicht, lokale Agenten nun als sicher abzuhaken. Teams sollten die Preview aktivieren, ihre Richtlinien knapp halten und prüfen, welche Arbeitsschritte wirklich Netzwerk oder Credentials brauchen. Erst dann wird aus dem Feature eine belastbare Schutzschicht.

Quellen: GitHub Changelog: Local sandboxing in the GitHub Copilot app, GitHub Docs: Configuring local sandboxing

Dieser Beitrag wurde mit Unterstützung von KI erstellt und redaktionell geprüft.